Política de correção de bugs de segurança
Para a Atlassian, é prioridade garantir que os sistemas dos clientes não sejam comprometidos explorando as vulnerabilidades nos produtos da Atlassian.
Scope
The following describes how and when we resolve security bugs in our products. It does not describe the complete disclosure or advisory process that we follow.
Correção de bug de segurança Acordo de Nível de Serviço (SLA)
Definimos os seguintes prazos para corrigir problemas de segurança nos produtos:
- Bugs de gravidade Crítica (pontuação CVSS v2 >= 8, pontuação CVSS v3 >= 9) a ser corrigido no produto no prazo de 4 semanas do relato
- Bugs de gravidade Alta (pontuação CVSS v2 >= 6, pontuação CVSS v3 >= 7) a ser corrigido no produto no prazo de 6 semanas do relato
- Bugs de gravidade Média (pontuação CVSS v2 >= 3, pontuação CVSS v3 >= 4) a ser corrigido no produto no prazo de 8 semanas do relato
Vulnerabilidades críticas
Quando uma vulnerabilidade de segurança crítica é descoberta pela Atlassian ou relatada por terceiros, a Atlassian faz o seguinte:
- Emite uma nova versão corrigida para a versão atual do produto afetado o mais rápido possível.
- Emite uma nova versão de manutenção para uma versão anterior, da seguinte maneira:
Produto | Política de Backport | Exemplo |
|---|---|---|
| Jira Software Server e Data Center Jira Core Server e Data Center Jira Service Desk Server e Data Center | Lançar novas correções de bugs para:
| Por exemplo, se uma correção crítica de bug de segurança for desenvolvida em 1 de janeiro de 2020, as novas versões a seguir precisariam ser produzidas:
|
| Confluence Server e Data Center | Lançar novas correções de bug para:
| Por exemplo, se uma correção crítica de bug de segurança for desenvolvida em 1 de janeiro de 2020, as seguintes novas versões vão ser produzidas:
|
| Bitbucket Server e Data Center | Lançar novas correções de bugs para:
| Por exemplo, se uma correção crítica de bug de segurança for desenvolvida em 1 de janeiro de 2020, as novas versões a seguir vão ser produzidas:
Bitbucket 6.3.0 foi lançado em 14 de maio de 2019, mais de 6 meses antes da data da correção. Se ele tivesse sido classificado uma versão Empresarial, também precisaria de correção de bug. |
| A gente emite novas versões de correções apenas para a versão atual e a anterior. | Por exemplo, se uma correção crítica de bug de segurança for desenvolvida em 1 de janeiro de 2020 para o Bamboo, as seguintes novas versões de correções de bugs precisariam ser produzidas:
|
ProductJira Software Server and Data Center Jira Core Server and Data Center Jira Service Desk Server and Data Center |
Back port policyIssue new bug fix releases for:
|
ExampleFor example, if a critical security bug fix is developed on 1 January 2020, the following new bug fix releases would need to be produced:
|
ProdutoConfluence Server e Data Center |
Política de BackportLançar novas versões de correção para:
|
ExemploPor exemplo, se uma correção crítica de bug de segurança for desenvolvida em 1 de janeiro de 2020, as novas versões a seguir vão ser produzidas:
|
ProdutoBitbucket Server e Data Center |
Política de BackportLançar novas versões de correção de bug para:
|
ExemploPor exemplo, se uma correção crítica de bug de segurança for desenvolvida em 1 de janeiro de 2020, as novas versões a seguir vão ser produzidas:
O Bitbucket 6.3.0 foi lançado em 14 de maio de 2019, mais de 6 meses antes da data da correção. Se tivesse sido classificado uma versão Empresarial, uma versão de correção de bug também seria produzida. |
Product |
Back port policyWe will only issue new bug fix releases for the current and previous feature release version. |
ExampleFor example, if a critical security bug fix is developed on 1 January 2020 for Bamboo, the following new bug fix releases would need to be produced:
|
It is important to stay on the latest bug fix release for the version of the product you are using (this is best practice). For example if you are on Jira Software 7.5.0, you should upgrade to Jira Software 7.5.3 proactively. If a new security bug fix is released, e.g. Jira Software 7.5.4, the delta between the two versions is minimal (i.e. only the security fix), making it easier to apply.
The critical vulnerabilities resolution process does not apply to our Atlassian Cloud products as these services are always fixed by Atlassian without any additional action from customers.
Vulnerabilidades não críticas
Quando um problema de segurança de grau Alto, Médio ou Baixo for descoberto, a Atlassian vai incluir uma correção no próximo lançamento agendado. A correção também pode ser adaptada para versões Empresariais, se possível.
Você deve atualizar as instalações quando sair uma nova versão de atualização de segurança para garantir que as últimas correções de segurança foram implementadas.
Outras informações
O nível de gravidade das vulnerabilidades é calculado com base nos níveis de gravidade dos itens de segurança.
As políticas da Atlassian são sempre avaliadas com base no retorno dos clientes, e eventuais atualizações e alterações são apresentadas nesta página.